OpenVPN-þjónn með nopool: lýstu skýru laugarsviði

Þjónaraðstoðarforrit stilla undirnet og fylla það síðan með kviku laug að eigin vali. Það sjálfgefið er þægilegt þangað til sumum vistföngum verður að halda utan úthlutunar — hvort sem þau eru frátekin fyrir föst úthlutun eða geymd fyrir komandi hluta. Að slökkva á sjálfvirkri laug og lýsa sviðinu sjálf krefst tveggja lína og einnar meðvitaðrar ákvörðunar um hvaða vistföng eru ekki til úthlutunar. Restin er rekstrarleg agi: skráning, beiting, sannprófun og afturköllun.

Þetta er breyting á þjónustu í rekstri, svo meðhöndlaðu hana sem rekstrarverkefni: fyrst skráning, svo beiting í gegnum venjulegan lífsferil, sannprófun með nýjum biðlara og tilbúin afturköllun.

Byrjaðu á undirnetinu sem þú hefur nú þegar

Lestu núverandi stillingar þjónsins og þau vistföng sem biðlarar hafa í raun. Breytingin á lauginni hefur aðeins merkingu gagnvart þeim grunni, og grunnurinn er ekki alltaf það sem skráin gefur til kynna, því stýrð vara eða stillingagerð getur átt skrána sem þú ert að lesa.

grep -nE '^(topology|server|ifconfig-pool|max-clients|client-config-dir)' /etc/openvpn/server/lab.conf
ip -4 addr show tun0

Staðfestu þá topólógíu sem gildir. Í undirnetstopólógíu tekur hver biðlari eitt vistfang úr lauginni; eldri net30-uppsetningar úthluta litlum blokkum á hvern biðlara og reikningurinn er gjörólíkur. Ef þjónninn er enn á net30 er þessi síða ranga flutningsleiðbeiningin og tölur laugarinnar munu ekki þýða það sem þú átt von á. Athugaðu þá línu áður en þú afritar vistfangsreikning frá öðrum stað.

Skrifaðu niður eigið vistfang þjónsins, hverja fasta úthlutun í möppu biðlarastillinga og hvert vistfang sem slóð eða aðgangsregla byggir á. Þetta eru vistföngin sem verða að halda sér utan kviku sviðsins. Að skrifa þau niður fyrst er það sem gerir sviðið að ákvörðun í stað ágiskunar. Það gefur afturkölluninni líka eitthvað áþreifanlegt til að endurheimta.

Bættu við nopool og lýstu yfir sviðinu

Aðstoðarlykillinn tekur við nopool, sem heldur undirnetsstillingunni og slekkur á sjálfvirkri kvikri laug, eins og OpenVPN 2.6 handbókin lýsir. Síðan gefur skýra ifconfig-pool línan lokaða sviðið sem þú ætlar þér, og netgríman hennar passar við undirnetið. Báðar línurnar tilheyra sama þjónablokk, því laug án undirnets síns hefur enga merkingu. Röðin á milli þeirra skiptir aðeins máli fyrir læsileika, því aðstoðin þenur út parið þegar þjónustan ræsist.

topology subnet
server 10.70.0.0 255.255.255.0 nopool
ifconfig-pool 10.70.0.50 10.70.0.120 255.255.255.0

Bæði mörkin eru lokuð, svo dæmið býður sjötíu og eitt vistfang. Haltu vistfangi þjónsins og hverri fastri úthlutun utan þess bils; föst úthlutun sem lendir innan kvika sviðsins veldur árekstri sem fer eftir röð tenginga, og það er versti flokkurinn til að kemba. Hafðu skil á milli frátekna mengsins og sviðsins ef líklegt er að föstum úthlutunum fjölgi.

Stærð sviðsins og samtímahlutfall eru aðskilin mörk. Hundrað vistföng þýða ekki hundrað samtímabiðlara ef max-clients segir annað, og laug sem er stærri en samtímamarkið er eðlileg en ekki sóun. Það sem skiptir máli er að mörkin tvö séu valin meðvitað en ekki erfd frá sjálfgefnu gildi.

Haltu föstum úthlutunum utan kvika sviðsins

Biðlarasértækt ifconfig-push er önnur aðferð en úthlutun úr lauginni og verður að nota færibreytur sem hæfa virku topólógíunni. Í undirnetsham eru það eitt vistfang og netgríma; að flytja net30 par því að það kom fyrir í gömlu dæmi er algeng mistök.

Úthlutunarsaga er vísbending, ekki vald. persist skrá man hvaða biðlari hafði hvaða vistfang, svo biðlarar sem tengjast aftur fá yfirleitt sama vistfangið, og hún frátekur ekki vistföng, leysir þau ekki og kemur ekki í stað fastrar úthlutunar. Ef tiltekið tæki verður alltaf að hafa tiltekið vistfang skaltu nota fasta úthlutun í stað þess að treysta á persist skrána.

Athugaðu síðan slóðirnar sem byggja á vistföngunum. Slóð sem ýtt er til biðlara, eldveggsregla sem hleypir undirneti í gegn eða vöktunarprufa sem býst við tilteknum hýsli geta öll gert ráð fyrir gamla sviðinu. Að breyta lauginni án þess að lesa þær færir bilunina á stað sem virðist óskyldur.

Beittu í gegnum lífsferilinn og sannprófaðu svo

Beittu breytingunni eins og þjónustan fær venjulega stillingar — hvort sem það er bein skrá og endurræsing eða stjórnunarlag sem endurgerir skrána. Handvirk breyting á búinni skrá lifir þangað til næstu gerð og ekki lengur. Skráðu hvaða aðferð á skrána, því næsti stjórnandi þarf að vita hvar á að gera sömu breytingu. Endurræstu síðan einu sinni og lestu annálinn áður en þú býður biðlara.

systemctl restart openvpn-server@lab
journalctl -u openvpn-server@lab -n 30 --no-pager
# on a fresh client
ip -4 addr show tun0

Tengdu biðlara sem hafði ekki tengst áður og staðfestu að vistfangið lendi innan tilkynnta sviðsins og utan frátekna mengsins. Staðfestu síðan afturleiðina: biðlarinn á að ná því sem stefnan leyfir og engu meiru. Vistfang sem passar við áætlunina en hefur enga virka slóð er ekki vel heppnuð breyting.

Tengdu aftur biðlara sem hafði vistfang úr gamla sviðinu. Hann á að fá vistfang úr nýja sviðinu, og öll lotustigsstaða sem er bundin gamla vistfanginu á að vera horfin. Ef hann heldur gamla vistfanginu úthlutar eitthvað annað því og laugin er ekki eigandinn sem þú heldur.

Afturköllun sviðsbreytingar

Haltu fyrri þremur línum í breytingaskránni þinni, ekki bara fyrri skránni. Að endurheimta þær og endurræsa færir úthlutunina aftur í gamla hegðun, og biðlarar sem tengjast eftir það fá vistföng úr henni.

Tvær viðvaranir eiga heima í skránni. Biðlarar sem eru þegar tengdir þegar þú afturkallar halda núverandi vistföngum sínum þangað til þeir tengjast aftur, svo afturköllun er ekki tafarlaus yfir allan flotann. Og ef gamla sviðið skaraðist á við fasta úthlutun endurheimtir endurheimt þess líka áreksturinn; einmitt sú skörun var ástæða breytingarinnar, og hún krefst annarrar lagfæringar en afturköllunar.

Laugabreytingu er lokið þegar nýr biðlari fær vistfang innan sviðsins, frátekið vistfang er aldrei gefið út og slóðirnar og reglurnar sem nota þessi vistföng hegða sér áfram eins og ætlað var. Allt minna lætur næstu manneskju komast að því hver af þremur er ekki satt.